进程_枚举自身模块路径 汇编

斗战胜猴

  

子程序名	返回值类型	公开	备 注
进程_枚举自身模块路径	整数型
参数名	类 型	参考	可空	数组	备 注
模块路径数组	文本型
模块名称数组	文本型
模块句柄数组	整数型

变量名	类 型	静态	数组	备 注
链表头	整数型
当前节点	整数型
模块路径指针u	整数型			FullDllName
ulenMaxFilePath	整数型
模块句柄	整数型			DllBase
模块名称指针u	整数型			BaseDllName
ulenMaxName	整数型

链表头 ＝ 0
当前节点 ＝ 0
模块路径指针u ＝ 0
ulenMaxFilePath ＝ 0
模块句柄 ＝ 0
模块名称指针u ＝ 0
ulenMaxName ＝ 0
清除数组 (模块路径数组)
清除数组 (模块名称数组)
清除数组 (模块句柄数组)
' 链表头 ＝ GetInLoadOrderModuleList ()
置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 12, 131, 192, 12, 137, 69, 252 })
' mov eax, dword [fs:0x00000030]
' mov eax, dword [eax+0x0C]
' add eax, 0x0C
' mov dword [ebp-0x04], eax
' 当前节点 ＝ PtrGetInt (链表头, 0)
置入代码 ({ 139, 0, 137, 69, 248 })
' mov eax, dword [eax]
' mov dword [ebp-0x08], eax
判断循环首 (当前节点 ≠ 链表头)
' 模块路径指针u ＝ PtrGetInt (当前节点, 40)
置入代码 ({ 139, 69, 248, 139, 88, 40, 137, 93, 244 })
' mov eax, dword [ebp-0x08]
' mov ebx, dword [eax+0x28]
' mov dword [ebp-0x0C], ebx
' ulenMax ＝ PtrGetShort (当前节点, 38)
置入代码 ({ 15, 183, 72, 38, 137, 77, 240 })
' movzx ecx, word [eax+0x26]
' mov dword [ebp-0x10], ecx
' 模块句柄 ＝ PtrGetInt (当前节点, 24)
置入代码 ({ 139, 88, 24, 137, 93, 236 })
' mov ebx, dword [eax+0x18]
' mov dword [ebp-0x14], ebx
' 模块名称指针u ＝ PtrGetInt (当前节点, 48)
置入代码 ({ 139, 88, 48, 137, 93, 232 })
' mov ebx, dword [eax+0x30]
' mov dword [ebp-0x18], ebx
' ulenMaxName ＝ PtrGetShort (当前节点, 46)
置入代码 ({ 15, 183, 72, 46, 137, 77, 228 })
' movzx ecx, word [eax+0x2E]
' mov dword [ebp-0x1C], ecx
' 编码_Unicode_Ptr到Ansi (模块路径指针u)
加入成员 (模块路径数组, UTF16到文本 (指针到字节集 (模块路径指针u, ulenMaxFilePath)))
' 编码_Unicode_Ptr到Ansi (模块名称指针u)
加入成员 (模块名称数组, UTF16到文本 (指针到字节集 (模块名称指针u, ulenMaxName)))
加入成员 (模块句柄数组, 模块句柄)
' 当前节点 ＝ PtrGetInt (当前节点, 0)
置入代码 ({ 139, 69, 248, 139, 0, 137, 69, 248 })
' mov eax, dword [ebp-0x08]
' mov eax, dword [eax]
' mov dword [ebp-0x08], eax
判断循环尾 ()
返回 (取数组成员数 (模块路径数组))

.版本 2<br /> <br /> .子程序 进程_枚举自身模块路径, 整数型, 公开<br /> .参数 模块路径数组, 文本型, 参考 可空 数组<br /> .参数 模块名称数组, 文本型, 参考 可空 数组<br /> .参数 模块句柄数组, 整数型, 参考 可空 数组<br /> .局部变量 链表头, 整数型<br /> .局部变量 当前节点, 整数型<br /> .局部变量 模块路径指针u, 整数型, , , FullDllName<br /> .局部变量 ulenMaxFilePath, 整数型<br /> .局部变量 模块句柄, 整数型, , , DllBase<br /> .局部变量 模块名称指针u, 整数型, , , BaseDllName<br /> .局部变量 ulenMaxName, 整数型<br /> <br /> 链表头 ＝ 0<br /> 当前节点 ＝ 0<br /> 模块路径指针u ＝ 0<br /> ulenMaxFilePath ＝ 0<br /> 模块句柄 ＝ 0<br /> 模块名称指针u ＝ 0<br /> ulenMaxName ＝ 0<br /> 清除数组 (模块路径数组)<br /> 清除数组 (模块名称数组)<br /> 清除数组 (模块句柄数组)<br /> <br /> ' 链表头 ＝ GetInLoadOrderModuleList ()<br /> 置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 12, 131, 192, 12, 137, 69, 252 })<br /> ' mov eax, dword [fs:0x00000030]<br /> ' mov eax, dword [eax+0x0C]<br /> ' add eax, 0x0C<br /> ' mov dword [ebp-0x04], eax<br /> <br /> ' 当前节点 ＝ PtrGetInt (链表头, 0)<br /> 置入代码 ({ 139, 0, 137, 69, 248 })<br /> ' mov eax, dword [eax]<br /> ' mov dword [ebp-0x08], eax<br /> <br /> .判断循环首 (当前节点 ≠ 链表头)<br />     ' 模块路径指针u ＝ PtrGetInt (当前节点, 40)<br />     置入代码 ({ 139, 69, 248, 139, 88, 40, 137, 93, 244 })<br />     ' mov eax, dword [ebp-0x08]<br />     ' mov ebx, dword [eax+0x28]<br />     ' mov dword [ebp-0x0C], ebx<br /> <br />     ' ulenMax ＝ PtrGetShort (当前节点, 38)<br />     置入代码 ({ 15, 183, 72, 38, 137, 77, 240 })<br />     ' movzx ecx, word [eax+0x26]<br />     ' mov dword [ebp-0x10], ecx<br /> <br />     ' 模块句柄 ＝ PtrGetInt (当前节点, 24)<br />     置入代码 ({ 139, 88, 24, 137, 93, 236 })<br />     ' mov ebx, dword [eax+0x18]<br />     ' mov dword [ebp-0x14], ebx<br /> <br />     ' 模块名称指针u ＝ PtrGetInt (当前节点, 48)<br />     置入代码 ({ 139, 88, 48, 137, 93, 232 })<br />     ' mov ebx, dword [eax+0x30]<br />     ' mov dword [ebp-0x18], ebx<br /> <br />     ' ulenMaxName ＝ PtrGetShort (当前节点, 46)<br />     置入代码 ({ 15, 183, 72, 46, 137, 77, 228 })<br />     ' movzx ecx, word [eax+0x2E]<br />     ' mov dword [ebp-0x1C], ecx<br /> <br />     ' 编码_Unicode_Ptr到Ansi (模块路径指针u)<br /> <br />     加入成员 (模块路径数组, UTF16到文本 (指针到字节集 (模块路径指针u, ulenMaxFilePath)))<br /> <br />     ' 编码_Unicode_Ptr到Ansi (模块名称指针u)<br />     加入成员 (模块名称数组, UTF16到文本 (指针到字节集 (模块名称指针u, ulenMaxName)))<br /> <br />     加入成员 (模块句柄数组, 模块句柄)<br /> <br />     ' 当前节点 ＝ PtrGetInt (当前节点, 0)<br />     置入代码 ({ 139, 69, 248, 139, 0, 137, 69, 248 })<br />     ' mov eax, dword [ebp-0x08]<br />     ' mov eax, dword [eax]<br />     ' mov dword [ebp-0x08], eax<br /> .判断循环尾 ()<br /> 返回 (取数组成员数 (模块路径数组))

yy750446

感谢分享，很给力！~

please

感谢分享，支持开源！！！

学习小米I

学习。太好了。感谢！

ale99

感谢分享，很给力！

please

感谢分享，支持开源！！！

704980168

支持开源~！感谢分享

查过

感谢发布原创作品，精易因你更精彩！6666666666666

豆豆灰常开心

感谢楼主分享！

汉族

看到好多大佬都开始 底层研究了   ？